根本原因是二进制未真正静态链接：需用golang:alpine builder+CGO_ENABLED=0+GOOS=linux+go build -a -ldflags="-s -w"，并验证ldd输出为“not a dynamic executable”；scratch镜像还需手动COPY证书和resolv.conf，且必须设非root USER。
为什么最终镜像还是上百MB？先确认是否真用了静态链接
很多 Go 镜像卡在 100MB+，根本原因不是 Dockerfile 写得不够“多阶段”，而是 main 二进制本身仍是动态链接的。运行 docker run --rm your-image ldd /myapp，如果输出列出一堆 libc.so、libpthread.so，说明 CGO_ENABLED=0 没生效，或者构建时混用了 glibc 环境（比如用了 golang:1.22 这类 Debian 基础镜像）。
必须确保 builder 阶段用的是 golang:alpine（不是 golang:latest 或 golang:1.xx-buster），它默认 CGO_ENABLED=0，且底层是 musl libc。编译命令里再显式加一遍更保险：
CGO_ENABLED=0 GOOS=linux go build -a -ldflags '-s -w' -o myapp .
-
-a强制重编译所有依赖，避免残留动态链接符号 -
-s -w剥离符号表和调试信息，通常减掉 30%–50% 体积 - 别漏掉
GOOS=linux，跨平台编译时尤其关键
FROM scratch 不是万能的，证书和 DNS 得手动补上
用 FROM scratch 是压到 10MB 级别的必要条件，但它真的“空”——连 /etc/ssl/certs/ca-certificates.crt 和 /etc/resolv.conf 都没有。一旦你的 Go 服务发起 HTTPS 请求或解析域名，就会直接 panic：x509: certificate signed by unknown authority 或 lookup api.example.com: no such host。
不能靠 RUN apk add ca-certificates（scratch 里没 apk），得显式 COPY：
COPY --from=builder /etc/ssl/certs/ca-certificates.crt /etc/ssl/certs/ COPY --from=builder /etc/resolv.conf /etc/resolv.conf
- 证书文件必须从 builder 阶段复制（Alpine 的路径是
/etc/ssl/certs/ca-certificates.crt） -
/etc/resolv.conf可以 COPY，也可以在启动时通过--dns参数覆盖，但硬编码更可控 - 别试图在 scratch 镜像里写入或生成这些文件——它只读，且无 shell 支持
builder 阶段 COPY 要克制，vendor/ 和 testdata/ 是体积黑洞
很多人把整个项目目录 COPY . . 进 builder，结果 vendor/、testdata/、.git/、docs/ 全进了构建缓存层，哪怕最后没打进 final 镜像，也会拖慢构建速度、污染 layer 缓存。
MiniMax 图片理解 + 网络搜索 MCP 工具。适配 Docker 环境（极空间等），支持图片 OCR 识别、图像内容理解、网络搜索。API Key 安全存储在本地 credentials 文件，不暴露在代码中。
正确做法是分两步 COPY，并利用 Docker 构建缓存机制：
COPY go.mod go.sum ./ RUN go mod download COPY cmd/ internal/ pkg/ main.go ./
- 先只 COPY
go.mod和go.sum，执行go mod download—— 这步缓存稳定，后续改代码不触发重下载 - 再 COPY 源码，但只选真正参与编译的目录：
cmd/（入口）、internal/、pkg/、main.go；明确排除vendor/（go mod 已替代）、testdata/、.git/ - 如果用了
net/http/pprof或反射-heavy 包（如encoding/json大量 struct tag），加-gcflags="all=-l"关闭内联，能省 2–3MB
USER 65532 在 scratch 里不是可选项，是必须项
FROM scratch 镜像里没有 /etc/passwd，所以 USER myuser 会失败。Docker 只认 UID/GID 数字。不设 USER，容器就以 root 运行——这在 K8s 环境会被 PodSecurityPolicy 拒绝，也违背最小权限原则。
必须写成：
USER 65532:65532
- 65532 是一个常用非 root UID，Docker 官方示例和 distroless 都用它
- 这个数字本身不重要，关键是不能是 0（root），且要保证进程有权限读写自己需要的路径（比如日志目录得提前
mkdir -p /var/log && chown 65532:65532 /var/log） - 如果你的应用需要绑定低端口（PORT 环境变量 + 高端口，或用
securityContext.capabilities.add在 K8s 里授予权限
真正难的不是写对那几行 Dockerfile，而是每一步都得验证：用 file /myapp 看是不是 statically linked，用 docker run 测试 HTTPS 和 DNS 是否通，用 ls -la 确认 final 镜像里除了二进制、证书、resolv.conf 和 USER 设置外，什么都没有。
